Mac VPN zaglavljen na »Prekidanju veze«: što zapravo radi

Prekidanje veze je prijelaz, a ne zaustavljen tunel. Provjerite koji dio posjeduje raskid, pročitajte rute i DNS i preskočite široko ubijanje procesa.

»Prekidanje veze« stanje je koje klijent javlja dok razgrađuje tunel, a ne presuda da je promet stao. Na Macu se ta razgradnja odvija kao kratak slijed, a oznaka se mijenja tek nakon što se komponenta koja posjeduje vezu javi. Kada neki korak čeka pomoćni program, dodatak ili odluku politike, oznaka može ostati tamo i nakon što sučelja nema, ili tunel može nastaviti prosljeđivati dok ga izbornik još prikazuje. Tretirajte tekst kao »razgradnja u tijeku, ishod nepoznat« i utvrdite koja je polovica istinita.

Dva kvara izgledaju jednako iz trake izbornika i traže suprotne reakcije. U jednom tunel još nosi pakete i samo je prikaz zastario. U drugom tunela nema, ali zasebna politika drži promet blokiranim, što je često namjerno. Rute i stanje DNS-a razdvajaju ih brže od bilo koje interakcije s izbornikom.

Što oznaka prati

VPN klijent drži mali stroj stanja, a traka izbornika njegova je projekcija. Za vezu kojom upravlja sam macOS taj stroj sjedi u sistemskom okviru VPN-a. Za tunelom kojim upravlja aplikacija sjedi u aplikaciji i njezinu privilegiranom pomoćnom programu. Završni korak zaustavljanja nije zatvaranje utičnice. To je oslobađanje onoga što je tunel činilo radnim: utun sučelja, ruta koje su pokazivale na njega, unosa razrješivača koje je klijent ubacio i svakog pravila vatrozida ili politike koja je blokirala promet dok je veza bila aktivna.

Ti su koraci odvojeni, pa zaustavljanje može zapeti na bilo kojemu. Pomoćni program koji prestane odgovarati, ruta koju traži i drugo sučelje ili unos razrješivača koji posjeduje drugi profil mogu ostaviti klijent u čekanju. Oznaka je izvještaj o vlastitom napretku klijenta, što je čini mjerodavnom o namjeri i nepouzdanom o mreži.

Nađite komponentu koja posjeduje vezu

Za izvorne konfiguracije scutil --nc list ispisuje usluge koje sustav poznaje i njihov status, a scutil --nc status "Work VPN" daje pojedinosti za jednu uslugu. Tunel koji drži aplikacija treće strane možda se uopće neće pojaviti na tom popisu, pa prazan rezultat nije dokaz da ništa nije povezano.

Kada profil pripada aplikaciji, oslonite se na njezin prikaz statusa i dokumentiranu kontrolu »Prekini vezu«. Zatvaranje prozora nije zahtjev za zaustavljanje ako tunelom upravlja pozadinski pomoćni program; ikona nestaje, a pomoćni program drži sučelje živim. Appleov pregled VPN postavki pokriva izvorne kontrole i odakle dolaze upravljane postavke.

Pročitajte sučelja, rute i DNS

Tri provjere odgovaraju na veći dio pitanja bez diranja veze. Važno ih je tumačiti zajedno, jer svaka sama za sebe obmanjuje.

scutil --nc list
netstat -rn -f inet | head -20
ifconfig | grep -A 3 '^utun'
scutil --dns | head -30
  • utun sučelje postoji, zadana ili podijeljena ruta ide kroz njega, razrješivač pokazuje na pružatelja: tunel je još podignut i oznaka je zastarjela.
  • Nema utun-a, obična zadana ruta, DNS od DHCP-a, nema interneta: politika koja blokira promet nakon prekida radi svoj posao.
  • Nema utun-a, nema rute, razrješivač još pokazuje na pružatelja: razgradnja je stala na pola i DNS je ostatak koji treba očistiti.

Zatim pošaljite jedan zahtjev unutarnjem hostu koji bi trebao odgovarati samo kroz tunel i jedan javnom hostu. Dosegljivost razdvaja politiku od ostatnog stanja, a da provjeru ne pretvara u mjerno vježbanje. Najprije spremite udaljeni rad ako put još odgovara i osigurajte drugi način pristupa prije nego promijenite mrežne postavke na stroju kojim upravljate na daljinu.

Zašto široko ubijanje i brisanje profila zavode

Nazivi procesa poput pppd, racoon i configd pripadaju određenim implementacijama. Njihovo ubijanje može utjecati na druge veze, ostavlja rute i utun sučelja za sobom i ne daje vam zapis o tome koji je korak zapeo. Ni stari naziv procesa nije dokaz da posjeduje trenutačni profil.

Brisanje i ponovno stvaranje profila veća je promjena od čišćenja zaglavljenog prijelaza. Može odbaciti upravljane postavke i lokalni identitetski materijal bez objašnjenja što nije uspjelo, a na nadziranom Macu može jednostavno biti vraćen. Zadržite uklanjanje za konfiguraciju koja je doista zastarjela i umjesto toga dijagnosticirajte prijelaz.

Slijed zaustavljanja koji ostavlja trag

Poredak u nastavku ostavlja vlastite kontrole veze na čelu i stvara zapis ako se zastoj vrati. Također vas čuva od toga da problem prikaza pretvorite u mrežnu promjenu.

  1. Spremite udaljeni rad i potvrdite da Mac možete dosegnuti na drugi način ako je udaljen.
  2. Zabilježite naziv klijenta, verziju i profil. Snimite kratak prozor s log show --last 5m --predicate 'subsystem == "com.apple.networkextension"'; starija izdanja čuvaju manje povijesti, pa to pokrenite ubrzo nakon zastoja.
  3. Upotrijebite dokumentiranu kontrolu »Prekini vezu«, pričekajte, zatim ponovite provjere sučelja i ruta.
  4. Ako je oznaka zastarjela, ali je tunel spušten, ostavite je i pustite klijent da se osvježi umjesto da prisiljavate procese.
  5. Ako je razgradnja doista zapela, ponovno pokrenite klijent, zatim isplanirajte ponovno pokretanje Maca nakon što je rad spremljen. Upravljani strojevi traže administratorov postupak.

Nakon oporavka potvrdite da su se obična zadana ruta i DHCP razrješivač vratili te da je blokirani promet ili vraćen ili namjerno još blokiran. Zapišite profil i verziju klijenta uz simptom, kako bi sljedeća pojava krenula od dokaza umjesto od nagađanja iz trake izbornika.

Povezani članci